In Breve
- Cosa è la campagna TerminalFix?
- Una campagna malevola che sfrutta Windows Terminal e PowerShell per distribuire malware multi-stage.
- Qual è il meccanismo di attacco di TerminalFix?
- Induce gli utenti a eseguire comandi PowerShell che scaricano un eseguibile e una DLL malevola.
- Quali sono i rischi associati a TerminalFix?
- Consente agli attaccanti di accedere a reti interne e di eseguire comandi, aumentando il rischio di esfiltrazione di dati e ransomware.
La Campagna TerminalFix: Un Nuovo Rischio per la Sicurezza Informatica
Una nuova campagna malevola, nota come TerminalFix, sta attirando l’attenzione degli esperti di sicurezza informatica. Questa campagna utilizza siti web compromessi con overlay che imitano il CAPTCHA di Cloudflare per indurre gli utenti a copiare e incollare comandi PowerShell nel Windows Terminal o in PowerShell stesso. A differenza delle precedenti campagne ClickFix, che si concentravano sul dialogo Esegui, TerminalFix si rivolge direttamente al Terminal o a PowerShell, aumentando così la probabilità di esecuzione di script complessi e multilinea.
Meccanismo di Attacco
Quando gli utenti eseguono il comando fornito, vengono scaricati due file: un eseguibile legittimo e una DLL malevola. L’eseguibile, infatti, effettua il sideload della DLL, che a sua volta installa un payload nascosto denominato client.py. Questo payload, sviluppato in Python, stabilisce una connessione WebSocket crittografata di tipo reverse tunnel, fornendo agli attaccanti un accesso proxy in stile SOCKS5 alla rete interna della vittima.
Implicazioni per la Sicurezza
Questa modalità di attacco consente agli aggressori di connettersi ad altri sistemi interni, eseguire comandi, mantenere l’accesso anche dopo i riavvii e condurre attività di ricognizione sui controller di dominio. Sebbene non siano state osservate effettive operazioni di movimento laterale, la combinazione di ricognizione e tunnel inverso potrebbe permettere di identificare e raggiungere sistemi aggiuntivi.
Raccomandazioni per la Difesa
Gli esperti raccomandano di trattare i dispositivi compromessi come potenziali pivot di rete. È fondamentale indagare su eventuali movimenti laterali e sull’esposizione di credenziali. In una fase hands-on-keyboard, gli attaccanti possono scalare privilegi, disabilitare controlli di sicurezza, esfiltrare dati sensibili e persino distribuire ransomware.
Conclusione
La campagna TerminalFix rappresenta un nuovo e significativo rischio per la sicurezza informatica, evidenziando l’importanza di una vigilanza costante e di misure di sicurezza adeguate per proteggere le reti aziendali e i dati sensibili.
